Sababta nosuid uu uga horjoogsado kaaliyaha VPN inuu noqdo root

Sir-qarinta diskiga iyo nosuid mount waxay u ekaanayaan noocyo isla fikrad ah, mana laha wax xiriir ah. Mid wuxuu ilaaliyaa xogta nasashada, kan kalena wuxuu go’aamiyaa in kernel-ku u hogaansamo bitka mudnaanta wakhtiga barnaamijku bilaabmo. Kaaliyaha aan gaarin aqoonsiga uu filayo wuxuu ka cawdaa kan labaad. Male-awaalka ah in kan hore mas’uulka yahay wuxuu dadka u diraa inay dib u rakibaan macaamiil aan waligood xumaan.

Laba Sifo Oo Aan Xiriir Lahayn

Sir-qarinta diskigu waxay ka jawaabtaa cidda akhrin karta blocks-ka marka mishiinku damisan yahay. Ikhtiyaarka mount-ku waxay ka jawaabtaa waxa kernel-ku ku sameyn doono bits-ka habka faylka marka qof uu fuliyo. Wax ka mid ah kan hore ma xaddido kan labaad, kombuyuutar gacan lagu qaatay oo si buuxda sir lagu qariyay ayaa mount-gelin kara nidaam fayl oo dhammaan xannibaadaha meeshooda yaallaan.

In labadaba loo akhriyo sifo keliya waa waxa abuura aragtida ah in guriga sir lagu qariyay uu ka hortagayo gelitaanka root. Aragtidaas way sii jirtaa sababtoo ah labada calaamadood waxay ka muuqdaan isla mishiin, ma aha sababtoo ah waxay wadaagaan hal sabab.

Waxa Dhab Ahaan Cadaadiya Gudubka

Tixraaca execve wuxuu sharraxayaa sida faylka fulinta leh set-user-ID uu u beddelo aqoonsiga wax-ku-oolka ah ee habka cusub midka milkiilaha faylka. Isla boggaas waxa uu taxayaa shuruudaha cadaadiya gudubkaas iyo waxa u dhigma ee aqoonsiga kooxaha: dejinta no_new_privs, nidaam fayl oo nosuid lagu mount-geliyay, iyo hab lagu raadraacayo. Awoodaha faylka waa la iska indhatiraa isla shuruudahaas. Afartaas sharci waxay daboolaan ku dhowaad warbixin kasta oo noocan ah.

Liiskaas wuxuu sharraxayaa sababta habka ls u daabaco uusan waligiis ahayn sheekada oggolaanshaha oo dhan. Ma sheegto shuruuddee keenay fariin guuldarro gaar ah, waxaana laga yaabaa in barnaamijku soo sheegayo hawlo aqoonsi oo aan xiriir lahayn isla ereyadaas. Diiwaangeli barnaamijka saxda ah, bilaabaha iyo isku xigga khaladaadka ka hor intaadan go’aan gaarin.

Aqoonsi faylka fulinta ee xidhmada la taageeray ay rakibtay, milkiilihiisa, waddada dhabta ah iyo siyaasadda nidaamka faylka ee haysta. Nuqul ku yaal galka soo-dejinta ma aha kaaliyaha la rakibay, wax kasta oo habkiisu yiraahdo.

Waxa Aan La Qaban Karin

In bits set-user-ID lagu dhejiyo binary aan la hubin oo meel walba la raro ilaa xannibaaddu baaba’do ma aha dayactir. Waxay beddelaysaa siyaasad aadan fahmin iyadoo mudnaan aadan hubin karin, isla farsamadaas oo kaaliye lagu dabaqay waa waddo la yaqaan oo kor u kac ah. In nosuid laga saaro mount waa ka sii xun, sababtoo ah waxay saameynaysaa barnaamij kasta oo nidaamkaas faylka ku jira, ma aha mid keliya.

Waddada la taageeray waa rakibidda kaaliyaha ama adeegga ee diiwaangashan ee macmiilka, oo maamule sameeyo, oo binary-ga dhigta meesha siyaasaddu ka filanayso. Tani waxay hayaa hal hab oo mudnaan ah halkii laba.

Xaqiiji Duruufaha Bilowga Dhabta Ah

Ka dib sixid la oggolaaday, u ordi kaaliyaha sida alaabtu u ordisto, ma aha shell root. Guusha root ahaan waxba ma caddaynayso waddada isticmaale caadi ah u maro, farqiga u dhexeeya labadaas duruuf waa waxa guuldarradii ku saabsanayd.

Kadibna xaqiiji hawsha shabakada ee kaaliyuhu u jiro. Kaaliyaha bilaabma laakiin aan karin inuu habeeyo interface-ka wuxuu dhibaatada u raray hal marxalad, ma xallin.

findmnt -no TARGET,OPTIONS /home
getcap /usr/libexec/openvpn-helper 2>/dev/null; ls -l /usr/libexec/openvpn-helper

Qor ikhtiyaarada mount-ka iyo lahaanshaha kaaliyaha isla qoraal. Haddii kale qofka xigga ah ee tan saxaya wuxuu dib ugu celin doonaa aragtida sir-qarinta bilowgii.